PT-2026-139823

CVE-2026-123542

Publicado

2026-11-08

Atualizado

2026-11-08

Descrição por

CVSS 4.0

7.6

Alta

MétricasAV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenAM versões anteriores a 16.1.4

Descrição O software falha ao impor o Proof Key for Code Exchange (PKCE), uma extensão de segurança para OAuth 2.0, no fluxo de autorização de dispositivo. Especificamente, o sistema não valida o verificador de código durante a troca de códigos de dispositivo por tokens. Isso permite que um invasor que obtenha um código de dispositivo aprovado a partir de armazenamento de dispositivo compartilhado ou logs do cliente o resgate por tokens de ID e acesso, permitindo a personificação do usuário.

Recomendações Atualize para a versão 16.1.4 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores